Cyberattaque: Les pirates réclament 10 millions de dollars à Medibank

Un dollar par victime potentielle: des pirates informatiques ont réclamé jeudi dix millions de dollars (environ 9,8 millions de francs suisses) pour cesser de divulguer des données médicales sensibles après une cyberattaque en Australie contre un géant de l’assurance maladie.

Medibank, l’une des principales sociétés privées d’assurance santé du pays, a reconnu cette semaine que des pirates avaient pu accéder aux données personnelles de ses quelque 9,7 millions de clients et anciens clients, dont le premier ministre Anthony Albanese.

Après avoir publié un premier «échantillon» de ces données mercredi, les hackers en ont publié un deuxième jeudi sur un forum du «dark web» – qui ne peut pas être trouvé à l’aide des navigateurs classiques. Celui-ci comportait des informations particulièrement personnelles sur des centaines de personnes.

Les premiers renseignements divulgués semblaient avoir été sélectionnés pour occasionner un préjudice important, ciblant des personnes traitées pour une addiction à la drogue, des infections sexuellement transmissibles ou des interruptions de grossesse.

«(Nous avons) ajouté un fichier de plus, avortements.csv», ont écrit les hackers anonymes, avant de détailler leur demande de rançon. «Elle est de 10 millions de dollars américains. Nous pouvons faire une remise (…) 1 dollar = 1 client», précisent-ils sur ce forum. L’assureur a jusqu’à présent refusé de payer les pirates informatiques.

La cyberattaque perpétrée contre Medibank, ainsi que le piratage en septembre du deuxième opérateur de téléphonie mobile du pays, Optus, suscitent des interrogations quant à la capacité de l’Australie à résister aux cybercriminels.

Dennis Desmond, ancien agent du FBI et du renseignement américain, soutient que l’Australie n’est pas moins armée «que n’importe quelle autre cible de grande valeur ou qu’un pays occidental.» «C’est très malheureux, mais je ne pense pas que l’Australie soit plus vulnérable que toute autre nation occidentale développée», a estimé l’expert auprès de l’AFP.

Selon Dennis Desmond, les pirates motivés par l’appât du gain cherchent en général à s’en prendre aux entreprises qui détiennent des données ayant de la valeur. «Les données de santé sont une cible de choix et les données sur des personnes identifiables ont une grande valeur (…) Généralement, le profit et la cupidité sont les principales motivations.»

Le patron de Medibank David Koczkar a qualifié de «honteux» le chantage exercé par les pirates. «L’utilisation d’informations personnelles dans le but d’extorquer (de l’argent) constitue (une infraction) malveillante», a-t-il dit, ajoutant «c’est une attaque envers les membres les plus vulnérables de notre communauté».

Le groupe responsable de cette attaque informatique semble faire pression sur Medibank en recherchant au sein des fichiers de l’assureur les informations personnelles qui pourraient causer le plus de mal possible. Au sein des premières données divulguées, les victimes ont été réparties dans une liste de «bons» et de «vilains».

Plusieurs personnes figurant dans la liste «vilains» étaient associées à des codes numériques les reliant à une addiction à la drogue, à l’alcoolisme et au VIH. Un dossier comportait par exemple l’indication «p_diag: F122». F122 est le code de la «dépendance au cannabis» selon la Classification internationale des maladies publiée par l’Organisation mondiale de la santé.

Des noms, des numéros de passeport, des dates de naissance et des adresses figuraient aussi parmi ces données. La ministre australienne de l’Intérieur Clare O’Neil a qualifié ces pirates informatiques de «criminels minables».